Win32窗口相关API反汇编

最新推荐文章于 2024-12-14 08:15:00 发布

Hello_MyDream

最新推荐文章于 2024-12-14 08:15:00 发布

阅读量2.7w

点赞数

CC 4.0 BY-SA版权

分类专栏： MFC 汇编

本文链接：https://blog.youkuaiyun.com/Hello_MyDream/article/details/106875775

本文介绍了如何通过反汇编识别Win32应用程序入口，探讨ESP寻址特点，以及如何定位窗口回调函数和具体事件处理函数。通过跟随API调用，解析函数参数，深入理解Win32程序的运行机制。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

1、Win32应用程序入口识别

/*程序入口*/
//APIENTRY(API入口) __stdcall
int APIENTRY WinMain(HINSTANCE hInstance, //ImageBase
	HINSTANCE hPrevInstance, //NULL
	LPSTR lpCmdLine, //命令行参数，可以用Debug版打印，也可以使用Release版使用Dbgview.exe查看
	int nCmdShow) //指定程序窗口如何显示

看到KERNEL32.GetVersion GetCommandLineA后继续往下找，找到GetModuleHandleA位置可能是为第一个参数准备参数，往下走就能看到与程序同名的函数跟进入就可以发现有四个参数。

2、ESP寻址的特点

很多时候call函数后，第一步并不是保存栈底，而是直接使用ESP寻址，EBP的位置就是函数调用返回的位置。开辟栈的大小就加到了ESP的位置，即ESP - (num / 4) = EBP。[ESP - num / 4 + 4]就是第一个参数的位置，也就是Debug版本的EBP + 8的位置。

3、窗口回调函数的定位

TCHAR className[] = TEXT("My First Window");
	//创建一个自己的窗口
	WNDCLASS wndclass = { 0 }; //即使不用的参数也要赋值为0，否则窗口创建不出来
	wndclass.hbrBackground = (HBRUSH)COLOR_MENU;    //窗口的背景色		
	wndclass.lpfnWndProc = WindowProc;    //窗口过程函数		
	wndclass.lpszClassName = className;    //窗口类的名字		
	wndclass.hInstance = hInstance;    //定义窗口类的应用程序的实例句柄		
	/*
	typedef struct tagWNDCLASSW